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Die f olgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

Prufungsantrag gem. § 44 PatG ist gestellt 

@ Verfahren und Vorrichtung zum Schutz von Gegenstanden Oder Informationen gegen unberechtigten Zugriff 
© Gegenstand der Erfindung sind ein Verfahren und eine 

Vorrichtung zur elektronischen Versiegelung von Gehau- 

sen, um darin verwahrte Gegenstande oder gespeicherte 

Informationen vor einem unberechtigten oder unerkann- 

ten Zugriff zu bewahren. Ein bevorzugtes Anwendungs- 

gebiet der Erfindung ist der Schutz elektronischer Bautei- 

le mit geheimzuhaltenden Schaltungen oder sensiblen 

Daten oder Programmen. 

Der Erfindung lag die Aufgabe zugrunde, ein Verfahren 
zur Sicherung von Behaltnissen verschiedenster Art ge- 
gen einen unberechtigten Zugriff bereitzustellen sowie 
eine Vorrichtung zu dessen Durchfuhrung anzugeben, die 
innerhalb des zu sichernden Gehauses angeordnet ist, 
eine Wiederherstellung durch Falschung ausschliefSt und 
ein Uberwachungssignal auslosen kann. 
Die Erfindung beruht auf dem Grundgedanken, individu- 
elle, den Schlieftzustand charakterisierende Merkmale 
des Gehauses, das die Gegenstande oder Informationen 
birgt, zu erfassen und Anderungen dieser Merkmale zu si- 
gnalisieren. 

Dies soli dadurch erreicht werden, da(3 individuelle Eigen- 
schaften des Gehauses, eines Teils davon oder mit dem 
Gehause in Wirkverbindung stehender Funktionselemen- 
te als Identifikationsmerkmale nach der Inbetriebnahme 
erfafct und intern abgespeichert werden, daraufhin konti- 
nuierlich, periodisch oder auf Anforderung die aktuellen 
Werte gemessen und mit den abgespeicherten Werten 
verglichen werden, wobei jede signifikante Abweichung 
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Beschreibung 

[Stand der Technik] 

Gegenstand der Erfindung sind ein Verfahren und eine 5 
Vorrichtung zur elektronischen Versiegelung von Gehausen, 
um darin verwahrte Gegenstande oder gespeicherte Infor- 
mationen vor einem unberechtigten oder unerkannten Zu- 
griff zu bewahren. Die Erfindung ist insbesondere anwend- 
bar zum Nachweis eines unberechtigten Zugriffs auf den In- 10 
halt von Transport- oder Verwahrbehaltnissen verschieden- 
ster Art oder zur Kontrolle der Unversehrtheit des Gehauses 
von Geraten in der Kommunikations- oder Rechentechnik 
im Hinblick auf eine mogliche Manipulation. Ein bevorzug- 
tes Anwendungsgebiet der Erfindung ist der Schutz elektro- 15 
nischer Bauteile mit geheimzuhaltenden Schaltungen oder 
sensiblen Daten oder Programmen vor einem unberechtig- 
ten auBeren Zugriff zum Zwecke einer Identifizierung dieser 
Informationen. 

Zur Sichcrung von Transport- oder Verwahrbehaltnissen 20 
mit schutzenswertem Inhalt bedient man sich in zahlreichen 
Technik- und Lebensbereichen sogenannter Siegelsysteme. 
An dem den Inhalt umschlieBenden Gehause werden Siegel- 
marken angebracht, ohne deren endgiiltige Zerstorung das 
Gehause nicht geoffnet werden kann. Verschiedenste Arten 25 
und Ausfuhrungsformen solcher Siegelsystem haben eine 
verbreitete Anwendung gefunden. Der Siegelkorper, der mit 
fur das Offnen des Gehauses unumganglichen Bauteilen in 
Wirkverbindung steht, umfaBt GuBmassen, Polymer- oder 
Metallplattchen mit aufgedruckten oder -gepragten Identifi- 30 
kation s merkmalen . 

Diese rein mechanischen Systeme sind wenig zuverlas- 
sig, da sie nach einem unbefugten Zugriff durch Falschung 
wiederherstellbar sind. Zur Behebung dieses Nachteils exi- 
stieren Vorschlage, das Siegel mit zusatzlichen Identiflkati- 35 
onsmerkmalen auszuriisten. So ist es bekannt, in den Siegel- 
korper zusatzliche Markierungen in Form von Metallparti- 
keln in zufalliger Verteilung einzubringen und diese Vertei- 
lung mit Hilfe geeigneter Hilfsvorrichtungen zu erfassen 
und auszuwerten. Des weiteren sind optische Siegel auf der 40 
Basis verdrillter Lichtleitfasern beschrieben worden, deren 
zufailiges Licht raster erfaBt und ausgewertet wird. Ein ge- 
nereller Nachteil der vorgenannten Systeme ist, daB sie au- 
Berhalb des Gehauses angeordnet sind und damit unmittel- 
bar - mit vorhandenem Fachwissen und geeignetem Werk- 45 
zeug haufig erfolgreich - attackiert werden konnen. 

Von besonderer Relevanz ist das Problem der Sicherung 
von Gegenstanden oder Informationen gegen unerlaubten 
Zugriff auf dem Gebiet elektronischer Datenverarbeitungs- 
anlagen. Hier besteht ein Bedurfnis, Bauelemente gegen un- 50 
autorisierte Eingriffe, deren Ziel es ist, Zugang zu den 
Schaltungen oder den gespeicherten Daten oder Program- 
men zu erlangen, zu schutzen. 

Zur Abwehr solcher Angriffe ist bereits eine Reihe von 
MaBnahmen bekannt. So ist es ubliche Praxis, sensible In- 55 
formationen zu verschlUsseln und damit nur Personen, die 
uber den entprechenden Schliissel verfugen, in die Lage zu 
versetzen, diese Informationen zu lesen und gegebenenfalls 
zu verandern. Entsprechende Algorithmen sind bekannt und 
in Benutzung. 60 

Obwohl die gespeicherten Informationen in aller Regel 
gut geschiilzl sind, ist es ein genereller Schwachpunkt dieser 
softwareseitigen SchutzmaBnahmen, daB sie mit entspre- 
chendem Fachwissen durch direkten Zugriff auf die betref- 
fenden Komponenten umgangen werden konnen. Durch 65 
mechanischen oder chemischen Angriff auf das Gehause der 
in Frage kommenden Bauteile, bspw. eines Mikroprozes- 
sors. werden diese freipelePt nnd daranfhin in ihrem Srrnk- 



turaufbau analysiert. 

Eine andere Gattung von SchutzmaBnahmen beruhtdaher 
auf solchen Mitteln, die Versuche eines mechanischen oder 
chemischen Eindringens in sensible Bereiche erkennen und 
darauf reagieren. Diese Reaktion kann sehr unterschiedlich 
aus fallen und vom Auslosen eines Alarmsignals bis zum 
Loschen oder Zerstoren der vor unberechtigtem Zugriff zu 
schutzenden Informationen oder Schaltungen reichen. 

Zu diesen bekannten hardwareseitigen Losungen gehort 
das Umhullen mit elektrischen Leitern, die auf Unterbre- 
chung, KurzschluB oder Anderung des Widerstands iiber- 
wacht werden. Da die Uberwachung unabhangig von der au- 
Beren Stromzufuhr moglich sein soil, werden diese Einrich- 
tungen aus zusatzlichen Batterien oder Akkumulatoren ver- 
sorgt. So schlagt EP 0 417 447 A2 eine Einrichtung zum 
Schutz elektronischer Schaltungen gegen einen unberech- 
tigten Zugriff mit mechanischen oder chemischen Mitteln 
vor, wobei die zu schutzenden Bauelemente von einem 
Schutzmantel umgeben sind, auf dem in unmittelbarer Nahe 
zucinandcr clcktrischc Lcitcr ausgcbildct sind. Der Zugang 
zu den zu schutzenden Baugruppen kann nicht ohne Zersto- 
rung zumindest eines oder eines Teils dieser Leiter erreicht 
werden. Die Wirkung dieser Sicherheitseinrichtung beruht 
darauf, daB die elektrischen Leiter standig mit elektrischen 
Signalen beaufschlagt werden, die ausgangsseitig erfaBt 
werden. 

Jede Anderung der elektrischen Eigenschaften infolge ei- 
nes auBeren EingrifTs und damit einhergehender Zerstorung 
eines Teils dieser Leiter erzeugt ein geandertes Signal, das 
von der Uberwachungseinrichtung als solches erkannt wird 
und eine Loschung der gespeicherten Informationen auslost. 
Nach weiteren Aspekten dieser Losung des Standes der 
Technik kann die Uberwachung durch Aufschaltung weite- 
rer Sensoren auch auf die Intensitat einwirkender Strahlung 
oder die Umgebungstemperatur ausgedehnt werden. Nach- 
teilig ist, daB zwischen dem Erkennen eines AngriiTs und 
den Alarmreaktionen eine zeitliche Verzogerung besteht und 
vor ailem, daB das Loschen von Schlusseln und Daten Ener- 
gie erfordert. Bekannte Angriffe zur Umgehung dieser 
SchutzmaBnahmen zielen daher darauf ab, die furdieErken- 
nung des Alarms oder die Steuerung der Alarmreaktionen 
erforderlichen Bauteile oder deren Energiezufuhr so schnell 
zu zerstoren, daB keine Reaktionen mehr ausgefuhrt werden 
konnen und anschlieBend die Schliissel oder die zu schut- 
zenden Daten zu lesen. 

Die bekannten Losungen der Standes der Technik sind 
mit dem Nachteil behaftet, daB sie einer standigen Bestro- 
mung bediirfen, bei Einsatz sehr empfindlicher Sensoren 
haufig zu Fehlalarmen neigen und relativ aufwendig und 
kompliziert aufgebaut und damit entsprechend teuer sind. 

[Aufgabe der Erfindung] 

Der Erfindung lag die Aufgabe zugrunde, ein Verfahren 
zur Sicherung von Behaltnissen verschiedenster Art gegen 
einen unberechtigten Zugriff bereitzustellen sowie eine Vor- 
richtung zu dessen Durchfiihrung anzugeben, die innerhalb 
des zu sichernden Gehauses angeordnet ist, eine Wiederher- 
stellung durch Falschung ausschlieBt und ein Uberwa- 
chungssignal auslosen kann. 

Insbesondere lag der Erfindung die Aufgabe zugrunde, 
eine solche Losung bereitzustellen, die auch auf den Schutz 
elektronischer Bauteile gegen unzulassige Eingriffe auf ge- 
heimzuhaltende Daten, Programme oder Schaltungen uber- 
tragbar ist. ErfindungsgemaB wird diese Aufgabe durch ein 
Verfahren und eine Vorrichtung der in den Anspriichen 1 
und 10 genannten Art gelost. Vorteilhafte Weiterbildungen 
der RrfinHnnp pehen die Tlnteransnriiche wieder. 
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Die Erfindung beruht auf dem Grundgedanken, individu- 
elle, den SchlieBzustand charakterisierende, von auBen nicht 
vermeBbare Merkmale des Gehauses, das die Gegenstande 
oder Informationen birgt, zu erfassen und Anderungen die- 
ser Merkmale zu signalisieren. Dies soil dadurch erreicht 5 
werden, daB individuelle Eigenschaften des Gehauses, eines 
Teils davon oder mit dem Gehause in Wirkverbindung ste- 
hender Funktionslemente als Identifikationsmerkmale nach 
der Inbetriebnahme erfaBt und intern abgespeichert werden, 
daraufhin kontinuierlich, periodisch oder auf Anforderung to 
die aktuellen Werte gemessen und mit den abgespeicherten 
Werten verglichen werden, wobei jede signifikante Abwei- 
chung ein Alarmsignal auslost. Als Identifikationsmerkmale 
dienen mit physikalischen, insbesondere optischen, elektri- 
schen, magnetischen oder akustischen Methoden erfaBbare L5 
Eigenschaften des Gehauses, Teilen desselben oder mit dem 
Gehause in Wirkverbindung stehender Funktionselemente 
innerhalb des luckenlos umschlossenen Raumes. Die Identi- 
fikationsmerkmale konnen aus Zuralligkeiten des Herstel- 
lungsprozcsscs rcsulticrcn oder gczielt in Form cincr Kodic- 20 
rung aufgebracht worden sein. 

Die Vorrichtung zeichnet sich dadurch aus, daB der zu 
schutzende Inhalt zusammen mit einem Uberwachungsele- 
ment in dem Gehause untergebracht ist. Das Uberwachungs- 
element umfaBt vorzugsweise Sensoren, einen Sicherheits- 25 
baustein und eine MeBschaltung. Dabei dienen die Sensoren 
der Erfassung der Identifikationsmerkmale des Gehauses, 
die, wie nachfolgend noch naher ausgefuhrt werden wird, 
bei Inbetriebnahme im Sicherheitsbaustein abgespeichert 
werden, und im weiteren Verlauf in der MeBschaltung die 30 
aktuellen und die gespeicherten Werte verglichen werden. 
Wahrend das Erfassen der Identifikationsmerkmale stets in- 
nerhalb des geschiitzten Gehauses erfolgt, konnen die Vor- 
gange des Speicherns und Vergleichens auch extern verar- 
beitet werden. In diesem Falle besitzt das Uberwachungsele- 35 
ment lechnische Mittel zum Verschlusseln und Ubertragen 
der von den Sensoren erfaBten Merkmale. Das Gehause ist 
so konzipiert, daB die von den Sensoren zu erfassenden 
Merkmale von auBen nicht vermeBbar sind und bei jedem 
Zusammenbau zwangslaufig anders ausfallen. Giinstige Ge- 40 
staltungsmoglichkeiten, die dies gewahrleisten, sind in den 
Ausfiihrungsbeispielen dargelegt. 

Nach dem Zusammenbau wird die Vorrichtung aktiviert. 
Die Sensoren erfassen die individuellen Merkmale des von 
ihnen beaufschlagten Bereiches und leiten sie an den Sicher- 45 
hcitsbaustcin wcitcr, der die gewonncnen Werte abspcichcrt. 
Die Schutzwirkung ist nun aktiv. Kontinuierlich, periodisch, 
nach jedem Neustart oder auf Anforderung erfaBt die MeB- 
schaltung mit Hilfe der Sensoren die Identifikationsmerk- 
male des Gehauses und vergleicht die gemessenen Werte 50 
mit denjenigen, welche im Speicher abgelegt sind. Wird das 
Gehause geoffhet oder zerstort, so verandern sich dadurch 
die Merkmale, die die Sensoren ubermitteln. Der Sicher- 
heitsbaustein erkennt diese Veranderung beim Vergleich mit 
den im Speicher abgelegten Werten und lost ein Alarmsignal 55 
aus. Die Art des ausgelosten Signals hangt dabei von den Er- 
fordernissen des Anwendungsfalls ab. In einigen Fallen 
kann die Markierung eines erfolgten AngrifTs uber eine Zu- 
standsanzeige genugen, in anderen kann die Benachrichti- 
gung einer Uberwachungsstation angezeigt sein. Fur An- 60 
wendungen zum Schutz von Baugruppen mit geheimzuhal- 
tenden Informationen kann die Auslosung eines Schutzme- 
chanismus bewirkt werden. Entweder das Alarmsignal ver- 
anlaBt die Loschung wichtiger Daten oder Programme, oder 
es markiert den festgestellten Angriff durch das Durch- 65 
schmelzen einer Sicherung oder durch physikalische Zersto- 
rung oder verweigert dem zu schiitzenden Bauteil den Zu- 
panp zu Hen in ihm vnr Her T/ischnnp enthaltenen Fnnktio- 



nen und/oder Daten. 

Eine Tauschung des Sicherheitsbau steins nach der OfT- 
nung oder Zerstorung des Gehauses durch Vorspielung der 
Merkmale ist nicht moglich, da die Merkmale dazu dem An- 
greifer bekannt sein muBten. Aber durch ein entsprechendes 
Konzept einer Gehausegestaltung wird dafiir Sorge getra- 
gen, daB die Merkmale bei jedem Zusammenbau unter- 
schiedlich ausfallen oder einer hohen Anzahl moglicher Va- 
rianten entstammen, dabei aber von auBen weder erkennbar 
noch meBbar sind und bei jedem ZugrifT zwangslaufig ver- 
andert werden. 

Die Erfindung ist einfach und preisgunstig zu realisieren 
und universell einsetzbar. Einsatzbereiche sind Behaltnisse 
verschiedenster Art und Dimension, so Transport- oder Ver- 
wahrbehaltnisse, wie Koffer, Frachtcontainer oder SchlieB- 
facher, Sicherheitsraume oder Gehause von Rechnern oder 
Telekommunikationsgeraten oder Umhullungen elektroni- 
scher Bauteile. 

Ihre Sicherheit gegen unerkannte Uberwindung liegt 
darin begriindet, daB die Identifikationsmerkmale aus- 
schlieBlich innerhalb der versiegelten Umhullung gemessen 
werden, dabei von auBerhalb der Umhullung nicht eingese- 
hen, gemessen oder nach ZugrifT geschluBfolgert und wie- 
derhergestellt werden konnen. 

[Beispiele] 

Weitere Einzelheiten und Vorteile der Erfindung seien 
nachfolgend in Ausfiihrungsbeispielen anhand der Zeich- 
nungen dargelegt und naher erlautert. 

Hierbei zeigen 

Fig. 1 Darstellung des prinzipiellen Aufbaus einer erfin- 
dungsgemaBen Vorrichtung, angewandt zum Schutz einer 
elektronischen Baugruppe; 

Fig. 2 Schema des Verfahrensablaufs; 

Fig. 3 Schematische Darstellung eines Sicherheitsbau- 
steins; 

Fig. 4 Schnittdarstellung einer ersten Ausfuhrungsva- 
riante eines Sicherheitsmoduls fur eine zu schutzende Bau- 
gruppe; 

Fig. 5 Schnittdarstellung einer alternativen Ausfuhrungs- 
variante eines Sicherheitsmoduls; 

Fig. 6 Darstellung einer Ausfiihrungsform fur ein Ver- 
wahrbehaltnis; 

Fig. 7 Darstellung einer Ausfiihrungsform fiir ein Trans- 
portbchaltnis; 

Fig. 8 Alternative Ausfiihrungsform zu dem Verfahrens- 
ablauf gemaB Fig. 2 fiir eine mehrfache Initialisierung. 

Fig. 1 skizziert den prinzipiellen Aufbau eines erfin- 
dungsgemaBen Moduls zum Schutz einer elektronischen 
Baugruppe mit geheimzuhaltenden Schaltungen oder Pro- 
grammen vor unerlaubtem ZugrifT. 

Das zu schutzende Bauteil (1) ist zusammen mit Sensoren 

(3) , einem Sicherheitsbaustein (2) und einer MeBschaltung 

(4) in einer Umhullung (5) untergebracht. Letztere kann bei- 
spielsweise ein aus miteinander in EingrifT stehenden Scha- 
len zusammengesetztes Gehause, eine VerguBmasse oder 
eine Folie sein. Diese Umhullung (5) weist zumindest in ei- 
nem von den Sensoren (3) kontrollierten Bereich markante 
individuelle Merkmale (6) auf, die, wie vorstehend erwahnt, 
aus einer gezielt aufgebrachten Kodierung oder einer zufal- 
lig im HerstellungsprozeB entstandenen Inhomogenitat re- 
sultieren konnen. In einer bevorzugten Ausfiihrungsform 
der Erfindung betreffen diese individuellen Unterschei- 
dungsmerkmale (6) der Umhullung (5) optische oder elek- 
trische Parameter. Die Sensoren (3) dienen der Erfassung 
der individuellen Merkmale der Umhullung (5), die im Si- 
cherheitsbaustein bei Inbetriebnahme abpesneichert wer- 
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den. Die MeBschaltung (4) vergleicht die aktuellen un'd die 
abgespeicherten Werte. Der Sicherheitsbaustein (2) ist ein 
Chip mit einem programinierbaren Festspeicher (13), einem 
Vergleicher (12) und Funktionen oder Speicher (11), die von 
dem zu schutzenden Bauteil (1) fur zentrale Aufgaben, wie 
Signier- oder Verschlusselungsdaten oder -algorithmen, be- 
notigt werden (Fig. 3). In einer gunstigen Ausgestaltungsva- 
riante ist er ein Einchip-Microcontroller mit internem, von 
auBen nicht unmittelbar lesbarem Programm- und Daten- 
speicher. Der Zugang zu den internen Daten ist nur unter 
Kontrolle des internen Programms moglich. 

Sicherheitsbaustein (2), Sensoren (3) und MeBschaltung 
(4) konnen in das zu schutzende Bauteil (1) integriert sein. 

Beim Zusammensetzen des erfindungsgemaBen Sicher- 
heitsmoduls werden Bauteil (1), Sicherheitsbaustein (2), die 
Sensoren (3) und MeBschaltung (4) in die Umhullung (5) 
eingebracht. Aufgrund der zufalligen oder gezielt einge- 
brachten Inhornogenitaten des Umhullungsmaterials oder 
eines Teils desselben im Wirkbereich der Sensoren (3) fallen 
bci jcdcm Zusarnmcnbau die gcrncsscncn Mcrkmalc (6) an- 
ders aus. Handelt es sich bei den Inhornogenitaten um ge- 
zielt in die Umhullung (5) eingebrachte Codes, so bestim- 
men die Sicherheitsanforderungen des konkreten Anwen- 
dungsfalls deren erforderliche Anzahl. 

Die Wirkungsweise der Vorrichtung ist schematisch in 
Fig. 2 wiedergegeben. Nach dem Zusammenbau befindet 
sich das Gerat im Initialzustand, das heiBt, es sind keine 
Tdentifikationsrnerkrnale im Sicherheitsbaustein (2) gespei- 
chert. Beim ersten Einschalten des Moduls uberpriift der Si- 
cherheitsbaustein (2), ob sich der Modul im Initialzustand 
befindet. Ist dies der Fall, erfassen die Sensoren (3) die opti- 
schen, elektrischen oder sonstigen physikalischen Merk- 
male (6) der Umhullung (5) und leiten sie an den Sicher- 
heitsbaustein (2) weiter, der die gewonnenen Werte abspei- 
chert. Dabei wird die Kennung fur Initialzustand geloscht. 
Die Schutzwirkung ist nun aktiv. Bei alien spateren Ein- 
schaltvorgangen erfaBt die MeBschaltung (4) mit Hilfe der 
Sensoren (3) die Merkmale (6) der Umhullung (5) und ver- 
gleicht die gemessenen Werte mit denjenigen, welche im 
Speicher (13) abgelegt sind. Weichen die Werte signifikant 
voneinander ab, so lost der Sicherheitsbaustein (2) ein 
Alarmsignal aus, beispielsweise indem er wichtige Daten 
oder Programme loscht. In einer bevorzugten Weiterbildung 
der Erfindung wird die UberwachungsmaBnahme wahrend 
des Betriebes der zu schutzenden Baugruppe (1) periodisch 
wicdcrholt. Die Langc der Pcriodc crgibt sich dabei aus den 
Sicherheitsanforderungen des Anwendungsfalls. Dies ge- 
wahrleistet, dafi auch Angriffe, die wahrend des Betriebes 
erfolgen, erkannt werden. 

Wird die Umhullung (5) geoffnet oder zerstort, so veran- 
dern sich dadurch die Merkmale, die die Sensoren (3) iiber- 
mitteln. Der Sicherheitsbaustein (2) erkennt diese Verande- 
rung beim Vergleich mit den im Speicher (13) abgelegten 
Werten. Eine Tauschung des Sicherheitsbausteins (2) nach 
der Offnung oder Zerstorung der Umhullung (5) durch Vor- 
spielung der Merkmale ist nicht moglich, da die Merkmale 
dazu dem Angreifer bekannt sein muBten. Dies ist jedoch 
nahezu unmoglich, da nach der Erfindung die Umhullung 
(5) so zu konzipieren ist, daB die von den Sensoren (3) er- 
faBten Identifikationsmerkmale (6) bei jedem Zusammen- 
bau unterschiedlich ausfallen oder einer hohen Anzahl mog- 
licher Varianten entstammen, dabei aber von auBen weder 
erkennbar noch meBbar sind und bei jedem Zugriff oder 
Versuch eines Zugriffs zwangslaufig verandert werden. Eine 
favorisierte Ausfuhrungsvariante eines Gehausekonzepts, 
basierend auf miteinander verschraubten Gehauseschalen, 
gibt Fig. 4 wieder. Das Gehause umfaBt eine Oberschale 
(21"! und eine T Jnterschale (22) Mittels mindesfens einer Re- 
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festigungsschraube (23) sind die Gehauseschalen (21) und 
(22) miteinander verbunden. Wahrend die Oberschale (21) 
einen in den Innenraum ragenden Fuhrungszylinder (7) mit 
Durchgangsbohrung fur den Schraubenschaft (23) aufweist, 
5 ist in der Unterschale (22) koaxial ein Fuhrungszylinder (8) 
mit Innengewinde angeordnet. Der zwischen den Fuhrungs- 
zylindern (7) und (8) liegende Bereich des Schraubenschaf- 
tes (23) nimmt eine Scheibe (24) auf. Die Scheibe (24) be- 
steht aus einem elastischen Material, vorzugsweise einem 

10 Polymeren oder aus Pappe. Durch eine zentrale Bohrung mit 
einem gegenuber dem Schraubenschaft (23) leicht geringe- 
ren Durchmesser wird eine kraftschlussige Verbindung her- 
gestellt, die die Scheibe (24) der Drehbewegung der Befesti- 
gungsschraube (23) folgen laBt. Beim Eindrehen der 

15 Schraube (23) in die Unterschale (22) dreht sich die Scheibe 
(24) so lange mit, bis sie durch die aufeinander zulaufenden 
Fiihrungszylinder (7) und (8) schlieBlich eingeklemmt und 
durch Reibwirkung am Weiterdrehen gehindert wird. Sie hat 
damit ihre Betriebsstellung erreicht. Die Scheibe (24) ist mit 

20 einer Kodierung in Form von Durchbruchen, Bcrcichcn un- 
terschiedlicher Transparenz oder unterschiedlicher elektri- 
scher Leitfahigkeit ausgeriistet, die die optischen und/oder 
elektrischen Sensoren (3) im Inneren des Gehauses (21), 
(22) zu erfassen vermogen. Die konkrete Stellung der 

25 Scheibe (24) ist von auBen nicht ersichtlich, da das Gehause 
(21), (22) aus einem undurchsichtigen Material besteht oder 
entsprechende Beschichtungen aufweist. Auch aus der Stel- 
lung der Befestigungsschraube (23) konnen keine Riick- 
schlusse auf die konkrete Lage der Scheibe (24) gezogen 

30 werden. Da sie beim Eindrehen der Schraube (23) bereits 
vor dem endgultigen Festziehen am Weiterdrehen gehindert 
wird, ist ihre Betriebsstellung zufallig. Gleiches gilt fur den 
Fall des Offnens des Gehauses (21), (22) durch Aufschrau- 
ben. Die Scheibe (24) folgt der Aufschraubbewegung erst, 

35 nachdem die Klemmwirkung der Fuhrungszylinder (7) und 
(8) nachgelassen hat. Aus der Schraubenstellung am gebff- 
neten Modul kann daher nicht auf die Betriebsstellung der 
Scheibe (24) geschlossen werden. Diese Losung gewahrlei- 
stet, daB die konkrete Betriebsstellung der Scheibe (24) und 

40 damit letztlich die im Speicher (13) abgelegten und peri- 
odisch abgefragten individuellen Gehausemerkmale (6) 
selbst dem mit dem Zusammenbau betrauten Personal ver- 
borgen bleiben. 

Die Wirkungsweise dieser Ausfuhrungsvariante ent- 

45 spricht der Darstellung in Fig. 2. Nach dem Zusammenbau 
befindet sich der Modul im Initialzustand. Es sind keine 
Merkmale (6) gespeichert. Beim ersten Einschalten erfassen 
die Sensoren (3) die optischen und/oder elektrischen Merk- 
male (6) der Scheibe (24) und leiten sie an den Sicherheits- 

50 baustein (2) weiter, der die gewonnenen Werte abspeichert. 
Bei jedem erneuten Einschaltvorgang oder periodisch erfaBt 
die MeBschaltung (4) mit Hilfe der Sensoren (3) die Identi- 
fikationsmerkmale der Scheibe (24) und vergleicht diese 
Werte mit denjenigen, welche im Speicher (13) abgelegt 

55 sind. Wird das Gehause (21), (22) durch Losen der Befesti- 
gungsschraube (23) geoffnet, bewirkt dies eine Drehung der 
Scheibe (24). Die Sensoren (3) erfassen daraufhin andere 
Merkmale (6). Der Sicherheitsbaustein (2) erkennt diese 
Veranderung beim Vergleich mit den im Speicher (13) abge- 
60 legten Werten und lost ein Alarmsignal aus. 

Die vorgestellte Ausfuhrungsvariante ist einfach und sehr 
preiswert. Ihre Schutzwirkung ist allerdings auf solche Ein- 
griffe beschrankt, die durch unberechtigtes Aufschrauben 
erfolgen. Angriffe, die eine Zerstorung des Gehauses in 
65 Kauf nehmen, werden hiervon nicht erfaBt. Um derartige 
Eingriffe zu erkennen, bedarf es einer aufwendigeren Senso- 
rik, die weitere Teile des Gehauses (21) und (22) uberwacht. 
Fine andere y.weckma'Ripe Ansjyestalhinp der Frfindnnp. 
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die Manipulationen an der umgebenden Umhiillung (5) er- 
kennt, ist in Fig. 5 dargestellt. 

Die Umhiillung (5) ist eine VerguBmasse mit einer zu- 
fallsbedingten Markierung, beispielsweise beruhend auf dis- 
pergierten Festkorperteilchen. Die zufallsbedingte Vertei- 
lung dieser Festkorper im Matrixmaterial dient als Identifi- 
kationsmerkmal (6), das mit geeigneten, hier optischen, Me- 
thoden vermessen wird. Die zu schutzende Baugruppe (1), 
der Sicherheitsbaustein (2) die MeBschaltung (4), Fotodi- 
oden oder -Lransistoren (3), Leuchtdioden oder Laser oder 
Lampen (35) sind mit Hilfe der VerguBmasse mit inhomoge- 
nen optischen Eigenschaften zu einem Sicherheitsmodul 
vergossen. Der Modul weist einen undurchsichtigen Uber- 
zug (38), beispielsweise einen Farbauftrag, auf. Die zufallig 
aus den optischen Eigenschaften der VerguBmasse in den 
Wegen zwischen den lichtaussenden Leuchtdioden (35) und 
den lichtmessenden Fotodioden (3) resultierenden optischen 
Verhaltnisse, gekennzeichnet durch Dampfung und Refle- 
xionen, werden gemessen und abgespeichert. Das Ausmes- 
scn der optischen Mcrkmalc geschicht dadurch, daB die cin- 
zelnen Leuchtdioden (35) nacheinander einzeln oder in 
Gruppen bestromt werden, und die Fotodioden (3) die 
Starke des einfallenden Lichtes an ihren jeweiligen Standor- 
ten erfassen. Um MeBfehler durch Temperatur- und Span- 
nungsschwankungen auszugleichen, konnen diese Messun- 
gen auch auf das Bestimmen der relativen Helligkeiten be- 
schrankt werden. 

Zur Wirkungsweise der vorstehend beispielhaft darge- 
stellten Ausfuhrungsform sei unter Hinweis auf Fig. 2 auf 
die Darlegungen im Beschreibungsteil und im vorangegan- 
genen Ausfuhrungsbei spiel verwiesen. 

Wahrend die Schutzschaltungen in bekannten Geraten 
des Standes der Technik immer, selbst bei abgeschaltetem 
Gerat, aktiv sein mussen und daher einer standigen Bestro- 
mung bedurfen, kommt die erfindungsgemaBe Losung ohne 
stiindige Bestromung aus. Dies gestattet einen Verzicht auf 
zusatzliche Batterien oder Akkumulatoren zur Gewahrlei- 
stung der Stromversorgung. Deren periodischer Austausch, 
Wartung und Entsorgung entfallen damit ebenfalls. 

Daruber hinaus ist auch die Gefahr von Fehlalarmen ge- 
mindert. Grundsatzlich sind die Sensoren so empfindlich 
ausgelegt, daB jeder Angriff erkannt wird. Dies hat aber 
gieichzeitig zur Folge, daB Vorgange in der Umgebung des 
Gerates die Sicherheitseinrichtung beeinflussen und als An- 
griff fehlinterpretiert werden. Da die erfindungsgemaBen 
Module nur wahrend des Bctricbcs aktiv sein mussen, ent- 
fallen die bei den Losungen des Standes der Technik haufig 
zu beobachtenden Fehlalarme auBerhalb des Betriebes. 

Hervorzuheben ist, daB nach einer Zerstorung des Uber- 
wachungselements ein Zugriff auf die zu schiitzenden Da- 
ten, Programme oder Schaltungen ausgeschlossen ist. 

Eine weitere giinstige Ausfuhrungsform der Erfindung 
gemaB Fig. 6 bezweckt den Schutz des Inhalts eines Ver- 
wahrbehaltnisses vor unerkanntem Zugriff. Ein Verwahrbe- 
haltnis umfaBt zwei in Eingriff stehende Gehauseschalen 
(21) und (22). Der von den Schalen (21) und (22) luckenlos 
umschlossene Raum nimmt Bereich (28) fur den zu schut- 
zenden Inhalt und das Uberwachungselement, bestehend 
aus mindestens einem Sensor (3), dem Sicherheitsbaustein 
(2), der MeBschaltung (4) und einer Zustandsanzeige (26), 
auf. Die Gehauseschalen (21), (22) werden miteinander in 
Eingriff gebracht und mittels Schrauben (23) fest zusam- 
mengefugt. Mindestens eine der Schrauben (23) nimmt da- 
bei eine beispielsweise mit einem optischen Code ausgeru- 
stete Scheibe (24) auf, welche wiederum im Bereich eines 
Sensors (3), der den aufgebrachten Code zu lesen vermag, 
angeordnet ist. Die Wirkungsweise dieser Ausfuhrungsform 
entsnricht itn Prinztn Her im ersten Ausfiihrunpsheisniel 



vorgestellten Variante. Bei der Inbetriebnahme erfassen die 
Sensoren (3) die aufgebrachte Kodierung der Kodierscheibe 
(24) in dem ihnen zugeordneten Bereich und leiten sie dem 
nachgeschalteten Sicherheitsbaustein (2) zu, der sie abspei- 
5 chert. Im weiteren Verlauf werden die ermittelten Informa- 
tionen durch Vergleich mit den bei der Inbetriebnahme im 
Sicherheitsbaustein (2) abgespeicherten Werten ausgewer- 
tet. Weichen die Merkmale voneinander ab, so wird ein An- 
griff vermutet und durch geeignete physikalische MaBnah- 

10 men, die ein akustisches oder optisches oder an eine Uber- 
wachungsstation ausgesandtes Signal sein konnen, markiert. 
In der Figur ist zur Anzeige eines ausgelosten Alarmsignals 
eine in das Gehause integrierte Leuchte (26) vorgesehen. 
Bezugszeichen (27) symbolisiert die Energiezufuhr. Gerade 

15 in solchen Anwendungsfallen der eiektronischen Versiege- 
lung von Gehausen, die es angezeigt erscheinen lassen, in 
einer zentralen Uberwachungsstation Informationen iiber 
den Zustand dieser Einrichtungen zusammenzufassen, kon- 
nen die Funktionen des Abspeicherns und Vergieichens der 

20 Idcntifikationsmcrkmalc aus dem Gchauseinncrcn in dicsc 
Zentrale verlagert werden. Die von den Sensoren im ge- 
schiitzten Gehause erfaBten Merkmale werden verschliis- 
selt, nach auBen zur Zentrale iibertragen und dort gespei- 
chert und verglichen. Der Begriff " Verschlusseln" ist dabei 

25 weit auszulegen und soil bspw. auch das Hashen umfassen, 
das - anders als eine Verschlusselung - keine Rucktransfor- 
mation (Dekomprimierung und Entschlusselung) erlaubt. 

Verfahren zur sicheren Ubermittlung von Daten, in die- 
sem Falle der Sensorwerte, sind Stand der Technik und be- 

30 diirfen hier an sich keiner weitergehenden Erorterung. Es sei 
lediglich erwahnt, daB bei der Auswahl des Verfahrens die 
Moglichkeit eines Replay-Angriffs in Betracht zu ziehen ist. 
Um zu verhindern, daB ein Angreifer das ubertragene Da- 
tenpaket abhort, die Ubertragung weiterer Messungen unter- 

35 bricht und der Zentrale wahrend eines Angriffs die abgehor- 
ten Werte vorspielt, kommen daher solche Verfahren in Be- 
tracht, die vor der Verschlusselung in das zu iibermittelnde 
Datenpaket sich verandernde Datenfeider (z. B. Datum, 
Uhrzeit, Zahler oder vorgegebene Werte (Challenge)) ein- 

40 setzen. In der Zentrale werden das eingehende Paket ent- 
schlusselt, die Sensorwerte verglichen und das zugefugte 
Datenfeld auf Plausibilitat uberpruft. Die Ubertragung fin- 
det uber eine Datenleitung, wie z. B. analoge Telefonleitung 
mit Modem oder uber ISDN statt. Die Aufgaben in der Zen- 

45 trale (Vergleichen, Speichern, Alarm auslosen) werden von 
einem Computer erledigt. 

Der Begriff Verwahrbehaltnis ist im vorangegangenen 
Ausfuhrungsbeispiel im weitesten Sinne auszulegen, insbe- 
sondere sind darunter auch Gerategehause zu verstehen. So 

50 kann es sich hierbei auch um das Gehause eines PC handeln, 
der vor physikalischer Manipulation zu schiitzen ist, oder 
bei dem der Versuch einer solchen Manipulation nachweis- 
bar sein soil. Es kann sich dabei auch um ein Telekommuni- 
kationsgerat handeln, das unberechtigtes Offhen des Gehau- 

55 ses nachweist, bspw. als AbwehrmaBnahme gegen die Mog- 
lichkeit eines Abhorens. Ein sinnvoller Anwendungsfall der 
letztgenannten Ausfiihrungsvariante des externen Spei- 
cherns und Vergieichens ist ein Bankterminal. 

Das VerschlieBen von Transportbehaltnissen mittels 

60 Schrauben ist in der Handhabung unbequem. Fur derartige 
Behaltnisse wird altemativ die in Fig. 7 skizzierte Ausfuh- 
rungsfonn favorisiert. Der Transportbeh alter besitzt zwei in 
Eingriff stehende Gehauseteile (21) und (22). Er ist in an 
sich bekannter Weise mit mindestens einem SchlieBelement 

65 ausgestattet. Das innerhalb des Gehauses (21), (22) unterge- 
brachte Uberwachungselement soli wiederum auf einer im 
Einwirkungsbereich eines Sensors (3) drehbar angeordneten 
Kodierscheihe (24"l ak Tn format i on stra per hernhen. Fines 
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der beiden Gehauseteile, - in der Figur Schale (22) - nimmt 
Sicherheitsbaustein (2) sowie Sensor (3) und die drehbare 
Kodierscheibe (24) auf, wahrend das komplementare Ge- 
hauseteil - in der Figur Schale (21) - eine der Kodierscheibe 
(24) eine Drehbewegung auferlegende Zunge (41) auf- 5 
nimmt. Beim SchlieBen oder Offnen des Behaltnisses tritt 
die Zunge (41) in Reibverbindung mit Welle (43). Die Rela- 
tivbewegung der beiden Gehauseschalen (21) und (22) er- 
zeugt eine Drehbewegung der Welle (43) und damit auch 
der Kodierscheibe (24). Durch eine keilformige oder sonst- 10 
wie mit UnregelmaBigkeiten behaftete Gestaltung der 
Zunge (41) sind Dauer und Intensitat des Eingriffs mit Welle 
(43) und damit letztlich die Ruhestellung der Kodierscheibe 
(24) nicht vorhersehbar. Im geschlossenen Zustand drlickt 
die Arretierflache (42) von Zunge (41) auf Welle (43) und 15 
halt sie in ihrer Position. 

In Anwendungen, bei denen das Bediirfnis besteht, daB 
berechtigte Personen oder Maschinen das Gehause offnen, 
spater wieder schlieBen und die Uberwachung neu aktivie- 
rcn, ist cin Mcchanismus intcgricrt, wclcher cs dicscn Perso- 20 
nen oder Maschinen erlaubt, die Uberwachungsschaltung in 
den Initialzustand zuriickzuversetzen. Der Nachweis der 
Berechtigung kann durch Eingabe einer PIN, eines PaB- 
worts oder bei hoheren Sicherheitsanforderungen auch 
durch eine kryptographisch abgesicherte Authentifizierung 25 
uber Schnittstelle (47) erfolgen. Die Authentifikation wird 
vom Sicherheitsbaustein (2) durchgefuhrt, und zwar derge- 
stalt, daB sich der Benutzer gegenuber dem Sicherheitsbau- 
stein (2) authenlifiziert. Verlauft sie erfolgreich, wird der Si- 
cherheitsbaustein (2) in den Initialzustand zuriickversetzt. 30 
Anderenfalls wird der Alarmzustand ausgelost (Fig. 5). 

Paten tan spriiche 

1. Verfahren zur elektronischen Versiegelung von Be- 35 
haltnissen der verschiedensten Art, dadurch gekenn- 
zeichnet, daB bei Inbetriebnahme individuelle, den 
SchlieBzustand charakterisierende, von auBen nicht 
vermeBbare Merkmale des Gehauses, eines Teils davon 
oder mit dem Gehause in Wirkverbindung stehender 40 
Funktionselemente erfaBt und abgespeichert werden, 
wahrend des Betriebes die Erfassung dieser Identifika- 
tionsmerkmale wiederholt wird und die dabei gemesse- 
nen Werte mit den abgespeicherten Werten verglichen 
werden und jede signifikante Abweichung der aktuel- 45 
lcn von den abgespeicherten Werten cin Alarmsignal 
auslost. 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB das Abspeichern und Vergleichen der Identifi- 
kations merkmale sowie das Auslosen eines Alarmsi- 50 
gnais innerhalb des versiegelten Gehauses erfolgen. 

3. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB die innerhalb des versiegelten Gehauses erfaB- 
ten Identifikationsmerkmale verschlusselt. zu einer ex- 
tern en Station ubertragen und dort gespeichert und ver- 55 
g lichen werden. 

4. Verfahren nach Anspruch 3, dadurch gekennzeich- 
net, daB die Ubertragung uber eine Datenleitung er- 
folgt. 

5. Verfahren nach Anspruch 1, dadurch gekennzeich- 60 
net, daB die wiederholte Erfassung der individuellen 
Idenlifikationsmerkmale kontinuierlich, periodisch, bei 
jedem Neustart oder auf Anforderung erfolgt, 

6. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB als Identifikationsmerkmale die physikali- 65 
schen, insbesondere die optischen, magnetischen elek- 
trischen oder akustischen Eigenschaften des Gehauses, 
eines Teils davon oder eines mit dem Ciehanse in Wirk- 
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verbindung stehenden Funktionselements erfaBt wer- 
den. 

7. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB die iiberwachten Identifikationsmerkmale aus 
einer zufallsbedingten Markierung oder aus Zufallig- 
keiten des Herstellungsprozesses resultieren. 

8. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB die iiberwachten Identifikationsmerkmale eine 
aufgebrachte Kodierung sind. 

9. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB das Alarmsignal eine Zustandsanzeige ist. 

10. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB das Alarmsignal einen Schutzmechanismus fur 
den zu schtitzenden Inhalt auslost. 

11. Verfahren nach Anspruch 10, dadurch gekenn- 
zeichnet, daB das Alarmsignal eine Loschung gespei- 
cherter Daten oder Programme bewirkt, 

12. Verwendung eines Verfahrens nach einem oder 
mehreren der vorhergehenden Anspruche zum Schutz 
clcktronischcr Bautcile mit gchcimzuhaltcndcn Schal- 
tungen und/oder Daten oder Programmen gegen unau- 
torisierten auBeren Zugriff. 

13. Vorrichtung zur elektronischen Versiegelung von 
Behaltnissen der verschiedensten Art, umfassend ein 
Gehause zur iuckenlosen Umhullung eines zu schiit- 
zenden Inhalts, dadurch gekennzeichnet, daB der zu 
schutzende Inhalt und ein Uberwachungselement ge- 
meinsam in dem Gehause untergebracht. sind und das 
Uberwachungselement uber Sensoren (3) zur Erfas- 
sung individueller, von auBen nicht vermeBbarer Merk- 
male des Gehauses, eines Teils davon oder mit dem Ge- 
hause in Wirkverbindung stehender Funktionselemente 
sowie uber mindestens eine Baugruppe (2, 4) zum Ab- 
speichern der erfaBten Werte, zum Vergleich der erfaB- 
ten und der abgespeicherten Werte und zum Auslosen 
eines Alannsignals verfugt. 

14. Vorrichtung nach Anspruch 13, dadurch gekenn- 
zeichnet, daB Baugruppe (2, 4) zum Abspeichem und 
Auswerten der Identifikationsmerkmale sowie zum 
Auslosen eines Alarmsignals entweder intern, das heiBt 
innerhalb des versiegelten Gehauses, oder extern, das 
heiBt in einer von dem versiegelten Gehause beabstan- 
det angeordneten Station, untergebracht ist. 

15. Vorrichtung nach Anspruch 13, dadurch gekenn- 
zeichnet, daB das Uberwachungselement einen Sicher- 
heitsbaustein (2), Sensoren (3) und cine McBschaltung 
(4) umfaBt. 

16. Vorrichtung nach Anspruch 15, dadurch gekenn- 
zeichnet, daB der Sicherheitsbaustein (2) ein Chip mit 
einem programmierbaren Festspeicher (13), einem 
Vergleicher (12) und Funktionen oder Speicher fur Si- 
gnier- und Verschlusselungsdaten oder -algorithmen 
(11) ist. 

17. Vorrichtung nach Anspruch 16, dadurch gekenn- 
zeichnet, daB der Sicherheitsbaustein (2) ein Einchip- 
Microcontroller mit internem, von auBen nicht unmit- 
teibar lesbarem Programm- und Datenspeicher ist. 

18. Vorrichtung nach Anspruch 13, dadurch gekenn- 
zeichnet, daB das Gehause miteinander in Eingriff ste- 
hende Gehauseschalen (21),(22) umfaBt. 

19. Vorrichtung nach Anspruch 18, dadurch gekenn- 
zeichnet, daB die Gehauseschalen (21), (22) miteinan- 
der verschraubt sind und mindestens eine der die Ge- 
hauseschalen (21) und (22) zusammenhaltenden 
Schrauben (23) innerhalb des Gehauses im Wirkbe- 
reich des Sensors (3) kraftschliissig mit einer Kodier- 
scheibe (24) verbunden ist. 

70. Vorrichhinp nach Ansnruch 18. dadurch pekenn- 
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zeichnet, daB Gehauseschale (22) im Wirkbereich des 
Sensors (3) eine drehbeweglich gelagerte Kodier- 
scheibe (24) und Gehauseschale (21) eine beim Off- 
nungs- und SchlieBvorgang der Kodierscheibe (24) 
eine Drehbewegung auferlegende Zunge (41) aufweist, 5 
wobei die Zunge (41) derart unregelmaBig geformt ist, 
daB der Eingriff mit der Kodierscheibe (24) von wech- 
selnder Intensitat ist. 

21. Vorrichtung nach Anspruch 20, dadurch gekenn- 
zeichnet, daB Zunge (41) keilformig ausgebildeL ist. to 

22. Vorrichtung nach Anspruch 19 oder 20, dadurch 
gekennzeichnet, daB die optischen oder elektrischen 
Eigenschaften der Kodierscheibe (24) als Identifikati- 
onsmerkrnale dienen. 

23. Vorrichtung nach Anspruch 13, dadurch gekenn- 15 
zeichnet, daB das Gehause eine VerguBmasse ist. 

24. Vorrichtung nach Anspruch 23, dadurch gekenn- 
zeichnet, daB die VerguBmasse eine zufallsbedingte 
Markierung, beispielsweise in Form dispergierter Fest- 
korpcr aufweist. 20 

25. Vorrichtung nach Anspruch 24, dadurch gekenn- 
zeichnet, daB die optischen Eigenschaften der VerguB- 
masse als Identifikationsmerkmale dienen. 

26. Vorrichtung nach Anspruch 25, dadurch gekenn- 
zeichnet, daB eingegossene Leuchtdioden (35) und 25 
Fotodioden (3) die optischen Eigenschaften der Ver- 
guBmasse erfassen. 

27. Verwendung einer Vorrichtung nach einem oder 
mehreren der vorhergehenden Anspruche als Sicher- 
heitsmodul zum Schutz elektronischer Bauteile mit ge- 30 
heimzuhaltenden Schaltungen und/oder Daten oder 
Programmen gegen unautorisierten auBeren Zugriff. 
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